• 承接:西安SEO网站优化-SEO整站优化外包-网络营销推广外包服务

网站漏洞检测 CSRF代码攻击与加固方案

王泽鹏博客 4周前 (09-18) 26次浏览 0个评论

XSS 跨站以及 CSRF 攻击,在目前的渗透测试,以及网站漏洞检测中 ,经常的被爆出有高危漏洞,我们 SINE 安全公司在对客户网站进行渗透测试时,也常有的发现客户网站以及 APP 存在以上的漏洞,其实 CSRF 以及 XSS 跨站很容易被发现以及利用,在收集客户网站域名,以及其他信息的时候,大体的注意一些请求操作,前端输入,get,post 请求中,可否插入 csrf 代码,以及 XSS 代码。

很多客户的网站都有做一些安全的过滤,都是做一些恶意参数的拦截,检测的字段也都是 referer 检测以及 post 内容检测,在 http 头,cookies 上并没有做详细的安全效验与过滤,今天主要讲一讲如何检测 csrf 漏洞以及 csrf 防护办法,防止 xss csrf 的攻击。

通常我们 SINE 安全在渗透测试客户网站是否存在 csrf 漏洞,首先采用点击的形式去测试漏洞,在一个网站功能上利用点击的方式绕过安全效验与拦截,从技术层面上来讲,点击的请求操作来自于信任的网站,是不会对 csrf 的攻击进行拦截的,也就会导致 CSRF 攻击。再一个检测漏洞的方式更改请求方式,比如之前网站使用的都是 get 提交方式去请求网站的后端,我们可以伪造参数,抓包修改 post 提交方式发送过去,就可以绕过网站之前的安全防护,直接执行 CSRF 恶意代码,漏洞产生的原因就是,网站开发者只针对了 GET 请求方式进行安全拦截,并没有对 post 的方式进行拦截,导致漏洞的发生。有些客户网站使用了 token 来防止 XSS 跨站的攻击,在设计 token 的时候没有考虑到空值是否可以绕过的问题,导致可以 token 为空,就可以直接将恶意代码传入到后端中去。还有的网站 APP 没有 token 的所属账户进行效验,导致可以利用其它账户的 token 进行 CSRF 代码攻击。

那如何防止 XSS csrf 攻击? 如何修复该网站漏洞

根据我们 SINE 安全十多年来总结下来的经验,针对 XSS,csrf 漏洞修复方案是:对所有的 GET 请求,以及 POST 请求里,过滤非法字符的输入。’分号过滤 –过滤 %20 特殊字符过滤,单引号过滤,%百分号,<>,and 过滤,tab 键值等的的安全过滤。使用 token 对 csrf 的请求进行安全效验与拦截,对 token 的控制进行逻辑功能判断,如果发现 token 值为空,直接返回 404 错误,或者拦截该值为空的请求,还有要对 token 的所属账户进行效验,判断该 token 是否为当前账户的,如果不是就拦截掉该请求,或者返回错误页面。

使用 session 与 token 的双层安全效验,如果 seeion 与 token 值不对等,与你的加密算法不一致,就将该请求过滤拦截掉,如果两个的值与加密算出来的值相等,就是合法的请求,但是加密算法一定要隐藏掉,写入到后端,不要被逆向破解掉。对 referer 字段进行安全效验,检查 URL 是否是白名单里的,对于 referer 为空直接拦截掉该请求,URL 的白名单要含有 WWW,拒绝二级域名的请求。以上就是关于渗透测试中发现的 xss csrf 漏洞修复方案,如果您对网站代码不是太懂的话,不知道该如何修复漏洞,可以找专业的网站安全公司来处理解决,国内 SINESAFE,绿盟,启明星辰,都是比较不错的网络安全公司,针对漏洞的修复就到这里了,安全提示:网站,APP 在上线的同时,一定要对网站进行渗透测试服务,检测网站存在的漏洞,以及安全隐患,防止后期网站运行中出现一些没有必要的损失。


王泽鹏博客版权所有丨如未注明 , 均为原创丨 转载请注明网站漏洞检测 CSRF 代码攻击与加固方案
喜欢 (0)
[zhifu@wangzepeng.cn]
分享 (0)

您必须 登录 才能发表评论!